Jak rozpoznać atak phishingowy

Czym jest phishing?

Phishing to jeden z najczęstszych cyberataków na świecie. Nazwa pochodzi od angielskiego słowa „fishing” (łowienie ryb) — atakujący zarzucają szeroką sieć, licząc, że ktoś połknie przynętę. Cel jest prosty: nakłonić Cię do przekazania wrażliwych informacji, takich jak hasła, numery kart czy dane osobowe.

Phishing może trafić do Twojej skrzynki e-mail, przyjść jako SMS (tzw. smishing), przez telefon (tzw. vishing), a nawet przez media społecznościowe. Niezależnie od kanału podstawowa taktyka jest zawsze ta sama — podszyć się pod zaufane źródło i wywołać poczucie pilności.

Sygnały ostrzegawcze w e-mailach phishingowych

E-mail pozostaje najpopularniejszym nośnikiem phishingu. Oto sygnały, na które warto uważać:

Podejrzany adres nadawcy

Wyświetlana nazwa może brzmieć „Wsparcie PayPal”, ale faktyczny adres może wyglądać jak support@paypa1-help.com. Zawsze kliknij nazwę nadawcy, by zobaczyć pełny adres. Prawdziwe firmy wysyłają e-maile z własnych domen — jeśli domena się nie zgadza, nie ufaj wiadomości.

Ogólne powitania

Firmy, które mają Twoje dane, zwykle zwracają się do Ciebie po imieniu. Zwroty takie jak „Drogi Kliencie”, „Szanowny Użytkowniku” czy „Witaj, przyjacielu” to klasyczne sygnały phishingu.

Ponaglający lub groźny język

Atakujący chcą, żebyś zadziałał, zanim pomyślisz. Zwroty takie jak:

• „Twoje konto zostanie zawieszone w ciągu 24 godzin”
• „Wykryto nietypową aktywność — zweryfikuj natychmiast”
• „Czeka na Ciebie paczka — kliknij, aby zmienić termin dostawy”

...mają wyłączyć krytyczne myślenie. Zwolnij za każdym razem, gdy czujesz presję, by szybko kliknąć.

Niezgodne lub podejrzane linki

Przed kliknięciem najedź kursorem na link — faktyczny adres pojawi się na pasku stanu przeglądarki lub w dymku. Zwróć uwagę na:

• Literówki w nazwach domen (np. arnazon.com zamiast amazon.com)
• Dodatkowe subdomeny (np. amazon.com.podejrzana-strona.com — prawdziwa domena to tu podejrzana-strona.com)
• Skracacze linków, takie jak bit.ly, używane do ukrycia prawdziwego celu

Błędy gramatyczne i ortograficzne

Wiele wiadomości phishingowych pochodzi od osób, dla których język nie jest ojczysty, lub z automatycznych narzędzi. Oczywiste literówki, niezręczne sformułowania czy niespójne formatowanie to sygnały ostrzegawcze — choć warto pamiętać, że nowoczesne narzędzia AI sprawiają, że wiadomości phishingowe są coraz bardziej dopracowane.

Nieoczekiwane załączniki

Jeśli nie spodziewałeś się faktury, awizo czy dokumentu, nie otwieraj go. Złośliwe załączniki — zwłaszcza pliki .exe, .zip, .docm czy .pdf — mogą zainstalować złośliwe oprogramowanie w chwili otwarcia.

Jak rozpoznać phishingowe SMS-y

Phishing przez SMS (smishing) działa według tego samego scenariusza. Typowe przykłady to fałszywe powiadomienia o dostawie paczki, alerty bankowe i informacje o wygranej. Zasady:

• Nie klikaj linków w niezamówionych SMS-ach. Zamiast tego wejdź bezpośrednio na oficjalną stronę firmy.
• Podchodź podejrzliwie do każdego SMS-a z nieznanego numeru z prośbą o weryfikację danych konta.
• Prawdziwe banki nigdy nie proszą SMS-em o PIN ani pełny numer konta.
• W Polsce podejrzany SMS możesz bezpłatnie przesłać do CERT Polska na numer 8080.

Jak zweryfikować podejrzaną stronę

Jeśli trafisz na stronę i nie masz pewności, czy jest prawdziwa, sprawdź:

1. Dokładnie przyjrzyj się adresowi URL. Upewnij się, że domena jest poprawnie zapisana i że jesteś na właściwej stronie.
2. Sprawdź HTTPS. Kłódka na pasku adresu oznacza, że połączenie jest szyfrowane — ale NIE oznacza, że strona jest bezpieczna. Phisherzy też używają HTTPS. Kłódka mówi tylko, że połączenie jest bezpieczne, a nie że strona jest godna zaufania.
3. Poszukaj oznak wiarygodności. Czy strona ma politykę prywatności? Dane kontaktowe? Czy wygląda profesjonalnie?
4. Wyszukaj firmę samodzielnie. W razie wątpliwości otwórz nową kartę i wpisz nazwę firmy w wyszukiwarkę, by znaleźć jej oficjalną stronę.

Co zrobić, jeśli podejrzewasz phishing

• Nie klikaj, nie odpowiadaj i nie dzwoń pod żaden numer podany w wiadomości.
• Zgłoś to. Przekaż e-mail phishingowy na adres do zgłaszania nadużyć swojego dostawcy poczty lub użyj przycisku „Zgłoś phishing” w Gmailu czy Outlooku. W Polsce możesz też zgłosić incydent na incydent.cert.pl.
• Usuń wiadomość.
• Jeśli przypadkiem kliknąłeś link lub podałeś dane, natychmiast zmień hasła i skontaktuj się bezpośrednio z organizacją, pod którą się podszyto.

Szybka lista kontrolna

Zanim klikniesz jakikolwiek link w e-mailu lub SMS-ie, zadaj sobie pytania:

• Czy znam tego nadawcę?
• Czy spodziewałem się tej wiadomości?
• Czy link prowadzi tam, gdzie twierdzi?
• Czy wiadomość wywołuje pośpiech lub strach?
• Czy coś wygląda choć trochę „nie tak”?

Jeśli na którekolwiek pytanie odpowiesz „nie” lub „nie jestem pewien”, traktuj wiadomość jako podejrzaną. W razie wątpliwości wejdź na stronę organizacji bezpośrednio, samodzielnie wpisując adres w przeglądarce.